「GitLab」「ConnectWise」の脆弱性攻撃が発生 - 米当局が注意喚起

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、GitLabやJFrog、ConnectWiseなどが提供する製品に判明した4件の脆弱性が悪用されているとして注意を呼びかけた。

同庁は現地時間2026年9月11日、「悪用が確認された脆弱性カタログ（KEV）」へ4件を追加した。

「CVE-2026-85706」は、「GitLab Community Edition」「GitLab Enterprise Edition」におけるパストラバーサルの脆弱性。リポジトリのコミットAPIでパスの制限や認証処理が適切に行われず、認証なしに任意のファイルを読み取られるおそれがある。

リモートアクセスの機能を提供するConnectWiseの「ScreenConnect」では「CVE-2026-84869」の悪用が確認された。権限管理と認可処理に関する脆弱性で、アクティブなリモートセッションを介し、ホスト側の確認なしにファイルの転送や実行が可能となる。

「GitLab」「ScreenConnect」の脆弱性については、米行政機関に対し、現地時間9月14日までの対応を要請。脆弱性の解消に限らず、侵害状況の調査なども実施するよう求めている。

JFrogの「Artifactory」に関しては認証処理の不備に関する脆弱性「CVE-2026-42018」「CVE-2026-42016」を追加。トークン情報の漏洩や権限昇格のおそれがある。対応期限は9月25日とした。

（Security NEXT - 2026/09/14 ）ツイート